VigicapTerug naar het vertrouwenscentrum
Vertrouwen
Gegevensinventaris per connector
De tabel waar een functionaris voor gegevensbescherming om vraagt, en de basis voor een register in de zin van artikel 30. Zij wordt bij elke publicatie uit het connectorregister gegenereerd: een met de hand bijgehouden inventaris is een belofte met een houdbaarheidsdatum, en dit is de tabel die u een toezichthouder laat zien.
Gegenereerd op 1 oktober 2026
Wat niet varieert
Drie van de vier antwoorden zijn uniform per richting — door de bouw en niet uit gemak: een connectormodule heeft helemaal geen toegang tot de database. De enige uitzondering staat hieronder per connector vermeld in plaats van hier te worden weggemoffeld.
- Bewaard uit een leesactie: één kop, hoogstens zes cijfermatige indicatoren en een voorgesteld ReCyF-niveau.
- Er wordt nooit een ruwe respons van een externe tool bewaard.
- Inloggegevens worden versleuteld opgeslagen en bij het verbreken van de verbinding verwijderd.
- Naar een PSA-tool gaan alleen een samenvatting, een tekst in platte tekst en de bron die deze heeft voortgebracht.
- Uit een PSA-tool komt alleen de stand van een reeds aangemaakt ticket terug: de status, de afsluitdatum en de laatste activiteit. Een afsluiting wordt daar een voorstel dat een consultant valideert — nooit een actie die vanzelf wordt afgesloten.
- Samenvattingen bevatten geen enkele persoonsnaam — geverifieerd door een test, niet gegarandeerd door het typesysteem.
- Wanneer een bureau dit op een verbinding aanzet, bewaart die connector daarnaast één ondoorzichtige markering per asset: een met een sleutel berekende hash van de interne identificatie van de brontool — nooit een machinenaam, een serienummer of een IP-adres. Zij maakt het mogelijk te zeggen dat drie machines verdwenen zijn, nooit welke.
- Deze optie bestaat alleen voor 2 connectoren van de 76, zij staat standaard uit, en bij uitschakeling worden de al bewaarde markeringen verwijderd.
Wat nog niet gedocumenteerd is
Het vereiste toegangsrecht moet nog worden gedocumenteerd voor 12 van de 76 connectoren. Het vakje is leeg in plaats van ingevuld met een aanname: een inventaris die “rol met alleen-leesrechten” gokt voor een tool waarvan het rechtenmodel nooit is gecontroleerd, zou een onverifieerbare bewering zijn tegenover het enige publiek dat haar toetst.
OAuth-connectoren (2)
De beheerder van uw klant geeft zelf toestemming, ziet de lijst met machtigingen op zijn eigen toestemmingsscherm en kan die intrekken zonder het ons te vragen.
| Tool | Hosting | Gelezen ReCyF-doelstellingen | Bewaarde inloggegevens | Vereist toegangsrecht |
|---|---|---|---|---|
| Google WorkspaceGeverifieerd op een echte instantie | SaaS | Doelstelling 10 | oauth-consent (refresh token, encrypted) | openid, email, https://www.googleapis.com/auth/admin.directory.user.readonly |
| Microsoft 365Geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 10, 18 | oauth-consent (refresh token, encrypted) | openid, profile, offline_access, https://graph.microsoft.com/User.Read.All, https://graph.microsoft.com/AuditLog.Read.All, https://graph.microsoft.com/DeviceManagementManagedDevices.Read.All |
Connectoren met inloggegevens, één klant (53)
Eén set inloggegevens per klant, aangeleverd door het bureau, versleuteld opgeslagen.
| Tool | Hosting | Gelezen ReCyF-doelstellingen | Bewaarde inloggegevens | Vereist toegangsrecht |
|---|---|---|---|---|
| Acronis Cyber ProtectNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 9, 13 | clientId, clientSecret | Créez le client API depuis un compte d'administrateur ne portant que le rôle « read-only administrator » sur le service Cyber Protection : le client hérite définitivement des rôles du compte qui le crée, et ces rôles ne sont plus modifiables ensuite. |
| AdGuard HomeGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 9 | username, password | AdGuard Home n'a qu'un compte d'administration (nom + mot de passe) et aucun rôle « lecture seule » : l'identifiant donné ici autorise aussi la modification du filtrage côté AdGuard Home. Réservez-le à Vigicap et n'exposez l'interface d'administration que sur un réseau de confiance. |
| AuthentikGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | apiToken | Tot op heden niet gedocumenteerd |
| BareosGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | consoleName, consolePassword | Créez un Console dédié (bareos-dir.d/console/) rattaché à un Profile dont la Command ACL se limite aux commandes de lecture — « status, show, list, llist, .jobs » suffisent à ce connecteur — plutôt que de réutiliser le profil « operator » ou la console par défaut. |
| Bitdefender GravityZoneNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 9 | apiKey | À la génération de la clé (My Account > API keys), n'activez que l'API « Network » — la seule appelée ici ; Control Center répond 403 pour toute autre. Bitdefender exige en revanche que le compte qui GÉNÈRE la clé détienne les droits Manage Networks, Manage Users, Manage Company et Manage Reports : aucun compte en lecture seule ne peut créer cette clé. |
| BitwardenNiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | clientId, clientSecret | Bitwarden n'expose qu'une seule clé d'API d'organisation, sans rôle ni portée « lecture seule » — Bitwarden écrit lui-même qu'elle donne un accès complet à l'organisation, et seul un Owner peut l'obtenir. Réservez-la à Vigicap et traitez-la comme un secret d'administration. |
| CrowdSecGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 12 | apiKey | Une clé de bouncer (« cscli bouncers add »), jamais un compte machine : CrowdSec limite les clés d'API à la LECTURE des décisions, là où un couple identifiant/mot de passe de machine peut aussi en créer et en supprimer. |
| Datto BCDRNiet geverifieerd op een echte instantie | SaaS | Doelstelling 13 | publicKey, secretKey | Créez la clé dans le Partner Portal (Admin > Integrations > API Keys) en renseignant le champ « client » : Datto restreint alors les appels de cette clé aux équipements de ce client. Datto ne documente aucun rôle « lecture seule » distinct pour ces clés. |
| Datto RMMNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 5, 9 | apiKey, apiSecretKey, siteUid | Générez la paire de clés depuis un compte dont le niveau de sécurité API n'accorde que les droits en lecture « Setup > Global Settings: View », « Sites > Sites: View » et « Sites > Devices: View » — le minimum que Datto documente pour les trois appels de ce connecteur. |
| DefectDojoGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 5 | apiToken | Tot op heden niet gedocumenteerd |
| DuplicatiGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | password | Duplicati n'a qu'un seul secret pour son interface web (DUPLICATI__WEBSERVICE_PASSWORD) et aucun rôle « lecture seule » : le mot de passe donné ici autorise aussi la modification des tâches côté Duplicati. Exposez donc l'interface uniquement sur un réseau de confiance et réservez ce mot de passe à Vigicap. |
| ESET PROTECTNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 9 | username, password | Utilisateur dédié avec le droit « Integrations » et un jeu d'autorisations en LECTURE SEULE (ESET Business Account). |
| Fleet (osquery)Geverifieerd op een echte instantie | Zelf gehost | Doelstellingen 1, 5, 18 | apiToken | Utilisateur API-only, rôle Observer — lecture seule, sans accès à l'interface. |
| Fortinet FortiGateNiet geverifieerd op een echte instantie | Zelf gehost | Doelstellingen 7, 9 | apiToken | Administrateur d'API REST avec le profil super_admin_readonly (ou un profil entièrement en lecture), restreint par hôtes de confiance. |
| FreeIPANiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | username, password | Tot op heden niet gedocumenteerd |
| GLPIGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 1 | appToken, userToken | Utilisateur dédié disposant d'une clé d'accès distant (« Remote access key ») et d'un profil ne cochant que le droit « Read » sur Ordinateurs et Matériels réseau (onglet Actifs) : l'API GLPI applique les droits du profil et répond ERROR_RIGHT_MISSING au-delà. |
| GoPhishGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 4 | apiKey | Tot op heden niet gedocumenteerd |
| Grafana LokiGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 20 | username, password, orgId | Tot op heden niet gedocumenteerd |
| GraylogGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 20 | apiToken | Tot op heden niet gedocumenteerd |
| GreenboneGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 5 | username, password | GMP n'a pas de rôle applicatif « lecture seule » séparé pour un compte web standard — créez un utilisateur dédié avec le rôle intégré « Guest » ou « Info » (Administration > Users) plutôt que de réutiliser le compte admin. |
| HashiCorp VaultGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | token, namespace | Vault n'exprime pas le moindre privilège par un rôle mais par une policy. La policy minimale de ce connecteur tient en deux chemins en lecture : path "sys/health" { capabilities = ["read"] } et path "sys/mounts" { capabilities = ["read"] } — aucun accès aux moteurs de secrets eux-mêmes, et pas de capability sudo. |
| IT GlueNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 3 | apiKey, organizationId | Clé d'API IT Glue (sa création requiert un compte Administrateur ; la clé elle-même est en lecture pour cette intégration). |
| Kaseya VSANiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 5 | username, personalAccessToken | Utilisateur dédié dont le scope est limité aux organisations de ce client, avec jeton personnel. |
| Keeper SecurityNiet geverifieerd op een echte instantie | SaaS | Doelstelling 10 | apiToken | Jeton d'API public limité à l'intégration « CSPM » en action 1 = READ (Risk Management API) : public-api-key generate --integrations « CSPM:1 ». Ce périmètre exclut l'écriture (set_security_benchmarks) ainsi que les API SIEM et BILLING. |
| KeycloakGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | realm, clientId, clientSecret | Service account avec exactement view-users, query-users et view-realm sur realm-management — aucune écriture. |
| KnowBe4Niet geverifieerd op een echte instantie | SaaS | Doelstelling 4 | apiToken | Jeton généré dans la console « Reporting API » uniquement (et non « User Event API ») : l'API Reporting ne déclare que des opérations GET et ne peut donc rien écrire. KnowBe4 n'offre en revanche aucun périmètre plus fin — ce jeton lit l'ensemble des données de formation et de phishing du compte. |
| KopiaGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | username, password | Le serveur Kopia n'expose qu'un seul couple identifiant/mot de passe HTTP (--server-username / --server-password) : il n'existe pas de rôle « lecture seule » distinct. Utilisez ce couple, et non le compte de contrôle (--server-control-username), qui autorise en plus le pilotage du serveur. |
| MeshCentralGeverifieerd op een echte instantie | Zelf gehost | Doelstellingen 1, 11 | username, password | MeshCentral n'a pas de rôle « lecture seule » séparé : tout compte capable de lister les appareils et les comptes est un compte à droits d'administration partiels ou complets. Créez un compte dédié plutôt que de réutiliser un compte technicien existant. |
| NessusGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 5 | accessKey, secretKey | Sur Nessus Manager, un compte dédié au rôle « Basic » (lecture des résultats de scan) suffit à notre seul appel, GET /scans, à condition que les scans lui soient partagés. Sur Nessus Essentials, Professional et Expert, le moindre privilège n'existe pas : Tenable documente que tous les utilisateurs de ces éditions ont les permissions « System Administrator ». |
| NetBoxGeverifieerd op een echte instantieMarkering per asset mogelijk (na activering) | Zelf gehost | Doelstelling 1 | apiToken | Un jeton d'API dont la case « Write enabled » est décochée — NetBox le restreint alors aux opérations de lecture — rattaché à un utilisateur ne portant que les permissions d'objet dcim.view_device et ipam.view_ipaddress. |
| NinjaOneNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 5, 9, 18 | clientId, clientSecret, organizationId | Application « Client Credentials » avec le seul scope monitoring (lecture seule), limitée à l'organisation du client. |
| OCS InventoryGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 1 | username, password | Tot op heden niet gedocumenteerd |
| OpenSearchGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 20 | username, password | Compte du plugin de sécurité disposant au minimum de la lecture sur _cluster/health et _cat/indices. |
| OPNsense / pfSenseNiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 7 | apiKey, apiSecret | Un utilisateur dédié, sans accès shell, porteur des deux seuls privilèges « System: Firmware » (page-system-firmware-manualupdate) et « Firewall: Rules [new] » (page-filter-api). Les ACL d'OPNsense portent sur des motifs d'URL entiers et non sur la méthode HTTP : ces deux privilèges autorisent donc aussi la mise à jour du firmware et la modification des règles de filtrage. |
| Pi-holeGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 9 | appPassword | Tot op heden niet gedocumenteerd |
| privacyIDEAGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | username, password | Un administrateur dédié (Config > Administrators) couvert par une policy de périmètre « admin » n'accordant que l'action « tokenlist » : les policies admin de privacyIDEA fonctionnent en liste blanche, ce compte ne peut donc rien faire d'autre que lister les jetons. |
| Proxmox Backup ServerGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | tokenId, secret | Jeton d'API dédié dont l'entrée d'ACL porte le rôle DatastoreAudit sur /datastore — lecture des métadonnées et de la liste des sauvegardes, sans accès aux données sauvegardées. Le jeton a besoin de sa propre entrée d'ACL : le rôle donné à l'utilisateur ne suffit pas. |
| Proxmox VENiet geverifieerd op een echte instantieMarkering per asset mogelijk (na activering) | Zelf gehost | Doelstellingen 1, 13 | tokenId, secret | Token d'API avec Privilege Separation activée et le rôle PVEAuditor sur / avec propagation. |
| SentinelOneNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 9, 12 | apiToken | Tot op heden niet gedocumenteerd |
| Snipe-ITGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 1 | apiToken | Utilisateur non-admin dédié, rattaché à un groupe de permissions (Admin > Groups) n'accordant que la consultation des actifs — le jeton personnel hérite exactement des droits de cet utilisateur, sans droit de création, de modification ni de suppression. |
| Sophos CentralNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 9, 18 | clientId, clientSecret | Identifiants d'API avec le rôle « Service Principal Read-Only », créés au niveau du tenant et non du partenaire. |
| Synology DSMNiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | account, password | Créez un utilisateur DSM dédié (Panneau de configuration > Utilisateur et groupe) sans droit d'administration et sans accès aux dossiers partagés : ce connecteur n'appelle que SYNO.API.Info et SYNO.API.Auth. La double authentification doit être désactivée sur ce seul compte de service — DSM refuse une connexion par API lorsqu'elle est exigée (codes 403 et 406). |
| Tactical RMMNiet geverifieerd op een echte instantie | Zelf gehost | Doelstellingen 1, 5 | apiKey | Une clé API est émise POUR un utilisateur et hérite de son rôle — créez un utilisateur dédié avec un rôle en lecture seule (Settings > User Management > Roles) avant de générer sa clé (Settings > Global Settings > API Keys). |
| TeleportGeverifieerd op een echte instantie | Zelf gehost | Doelstellingen 8, 11 | username, password, otpSecret | Créez un rôle dédié accordant uniquement `read`/`list` sur user, role, node, event, session et cluster_auth_preference, plus `node_labels: {'*': '*'}` avec `logins: []`. Les labels sont indispensables : sans eux la liste des ressources revient VIDE au lieu de refuser, et `logins` vide garantit que le compte voit le parc sans pouvoir y ouvrir de session. N'utilisez pas les rôles intégrés `editor` ou `access`. |
| TheHiveGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 12 | apiKey | Créez un utilisateur dédié dans l'organisation concernée avec le profil intégré « read-only », puis générez sa clé d'API (Organisation > Users > Preview > API key). Ce profil n'accorde aucune permission d'écriture et suffit à compter les dossiers — vérifié. |
| ThreatDown (Malwarebytes)Niet geverifieerd op een echte instantie | SaaS | Doelstelling 9 | clientId, clientSecret, accountId | Couple client_id / client_secret de portée « read ». |
| UrBackupNiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | username, password | Compte web dédié dont l'éditeur de droits n'accorde que le domaine « status » (sur « all » pour couvrir tous les clients) — consultation du dernier état des clients, sans droit de parcourir ou télécharger les sauvegardes (browse_backups) ni de modifier les réglages (settings). |
| VadeNiet geverifieerd op een echte instantie | SaaS | Doelstelling 9 | login, password | Tot op heden niet gedocumenteerd |
| VeeamNiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | username, password, apiVersion | Compte dédié portant le seul rôle Backup Viewer — accès en lecture seule, suffisant pour lister les tâches et leur dernier résultat. |
| VMware vSphereNiet geverifieerd op een echte instantie | Zelf gehost | Doelstelling 1 | username, password | Utilisateur vCenter SSO avec le rôle « Read Only » sur l'objet racine, propagé aux enfants. |
| WazuhGeverifieerd op een echte instantie | Zelf gehost | Doelstellingen 12, 20 | username, password | Utilisateur API dédié dont la seule policy RBAC autorise l'action « agent:read » sur les ressources « agent:id:* » et « agent:group:* » — aucune autre action n'est nécessaire. |
| ZabbixGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 13 | apiToken | Jeton API émis pour un utilisateur de type « User » (le type le moins privilégié), dans un rôle dont « Access to API » est activé et dont l'« Allow list » se limite à host.get et problem.get, le compte n'ayant qu'un accès en lecture aux groupes d'hôtes à superviser. |
| ZitadelGeverifieerd op een echte instantie | Zelf gehost | Doelstelling 10 | pat | Utilisateur de service portant le seul rôle d'administration ORG_OWNER_VIEWER (« Org Owner Viewer ») sur l'organisation — lecture seule, aucune permission d'écriture. |
Bureauconnectoren, de hele portefeuille (16)
Eén set inloggegevens leest de hele portefeuille — een wezenlijk andere blootstelling, en daarom heeft deze een eigen rubriek.
| Tool | Hosting | Gelezen ReCyF-doelstellingen | Bewaarde inloggegevens | Vereist toegangsrecht |
|---|---|---|---|---|
| Action1Geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 5 | clientId, clientSecret | Identifiants d'API limités à un rôle personnalisé ne portant qu'une seule permission : « View Endpoints », au périmètre « Enterprise ». La liste des organisations (GET /organizations) n'exige aucune permission ; seule sa création en exige une. Le rôle intégré « Enterprise Viewer » fonctionne aussi, mais il ajoute « Use Scripts » et plusieurs lectures dont ce connecteur n'a pas besoin. |
| Cisco MerakiGeverifieerd op een echte instantie | SaaS | Doelstellingen 1, 5 | apiKey | Clé d'API Meraki en lecture seule (rôle « read-only » sur l'organisation). |
| Comet BackupNiet geverifieerd op een echte instantie | SaaS | Doelstelling 13 | username, password | Compte administrateur dédié portant la permission « Restrict this account to read-only access » : toute méthode d'API qui écrit est refusée côté serveur Comet. Ce compte ne peut plus ouvrir la console d'administration, ce qui est sans conséquence ici — chaque appel transmet ses identifiants et n'ouvre aucune session. Le serveur doit avoir le rôle « Auth » activé. |
| Datto Autotask PSANiet geverifieerd op een echte instantie | SaaS | — | apiIntegrationCode, username, secret | Utilisateur de licence « API User (API-only) » portant un niveau de sécurité personnalisé — une copie restreinte, pas le niveau système « API User (system) », qui donne un accès complet à toutes les données Autotask. Dans la catégorie CRM : « Organization & Contact Access » sur « All » (sans quoi aucun client n'est visible), et dans « Object Permissions » les lignes « Organizations » et « Devices & Subscriptions » en « View » seule, Add / Edit / Delete sur « None ». |
| DomotzGeverifieerd op een echte instantie | SaaS | Doelstelling 1 | apiKey | Clé d'API « Full Access ». Domotz ne propose que deux types de clé — « Full Access API Key » et « Agent Activation only API Key » — et la seconde ne sait qu'activer des collecteurs : aucune clé en lecture seule n'existe. La clé qui permet ces lectures permet donc aussi d'écrire dans l'ensemble de l'API publique. |
| HaloPSAGeverifieerd op een echte instantie | SaaS | — | clientId, clientSecret, authUrl | Application API « Client Credentials » portant exactement deux permissions, toutes deux en lecture : « read:customers » (GET /Client, la liste des clients) et « read:assets » (GET /Asset, l'inventaire). Aucune permission d'écriture, et pas le scope « all ». |
| HornetsecurityNiet geverifieerd op een echte instantie | SaaS | Doelstelling 9 | apiToken, appId | Tot op heden niet gedocumenteerd |
| HuduGeverifieerd op een echte instantie | SaaS | Doelstelling 1 | apiKey | Clé d'API créée sans l'option d'accès aux mots de passe, sans les actions destructrices (DELETE), restreinte aux sociétés à lire et à une liste d'adresses IP autorisées. Hudu ne propose pas de clé en lecture seule : désactiver les actions destructrices retire le DELETE, pas la création ni la modification. Ces options ne se règlent qu'à la création de la clé. |
| HuntressGeverifieerd op een echte instantie | SaaS | Doelstellingen 1, 10, 12, 18 | apiKey, apiSecret | Clé d'API Huntress en lecture (compte partenaire). |
| Kaseya BMSNiet geverifieerd op een echte instantie | SaaS | — | username, password, tenant | Employé de type « Api Employee » — il ne peut pas se connecter à l'interface et ne consomme aucune licence — portant un rôle de sécurité interne personnalisé : « Allow View All » sur les seuls modules CRM et Service Desk, plus « API Access » (Admin > Security > Roles > Admin), obligatoire pour tout rôle autre qu'Administrator. Surtout pas le rôle prédéfini « Administrator ». |
| LansweeperNiet geverifieerd op een echte instantie | SaaS | — | apiToken | Jeton d'accès personnel (« Personal Access Token ») autorisé sur les seuls sites à lire, avec une date d'expiration. Lansweeper ne propose aucune portée lecture / écriture sur ce jeton : il se restreint par site et par durée, pas par opération. |
| LiongardNiet geverifieerd op een echte instantie | SaaS | — | accessKey, accessSecret | Tot op heden niet gedocumenteerd |
| SendmarcNiet geverifieerd op een echte instantie | SaaS | Doelstelling 9 | apiKey | APIKEY créé sur un utilisateur portant le rôle « Partner Project Engineer », le moins étendu des rôles partenaire. Attention : Sendmarc n'a aucun rôle partenaire en lecture seule — ce rôle conserve la création, la modification et la suppression des comptes clients, de leurs utilisateurs et de leurs domaines. Le seul rôle en lecture, « Account Viewer », ne voit qu'un compte et ne peut pas énumérer votre portefeuille. |
| SuperOpsGeverifieerd op een echte instantie | SaaS | Doelstelling 1 | apiToken, subdomain | Jeton d'API émis par un utilisateur dédié dont le rôle n'a que deux permissions, toutes deux en lecture : « Client Settings > Client » en « View only » et « Asset Management > Asset » en « View ». La portée « All Clients » doit être activée, sinon seuls les actifs des clients rattachés à ce technicien remontent. Aucune permission « Edit » : elle n'est requise que pour une synchronisation bidirectionnelle, que ce connecteur ne fait pas. |
| SyncroNiet geverifieerd op een echte instantie | SaaS | Doelstelling 9 | subdomain, apiKey | Jeton d'API créé sur un utilisateur dédié, ne portant que deux permissions : « Customers - List/Search » et « Assets - List/Search ». Ce sont celles que la documentation Syncro exige pour les deux seuls points d'API lus ; aucune permission d'écriture n'est nécessaire. |
| UniFi Site ManagerNiet geverifieerd op een echte instantie | SaaS | Doelstellingen 1, 5 | apiKey | Clé d'API Site Manager, en lecture seule — c'est l'état actuel de toute clé Site Manager, et Ubiquiti annonce qu'il changera dès que des points d'écriture existeront. La clé n'a aucune portée propre : elle est liée au compte qui l'a créée et voit tous les sites de ce compte. La restreindre passe donc par le compte, pas par la clé. |
Uitgaand naar een PSA-tool (5)
De enige familie die SCHRIJFT. Een uitgaande stroom vraagt meer documentatie dan een inkomende, omdat dit het geval is waarin gegevens vertrekken naar een systeem dat wij niet beheren.
| Tool | Hosting | Gelezen ReCyF-doelstellingen | Bewaarde inloggegevens | Vereist toegangsrecht |
|---|---|---|---|---|
| AteraNiet geverifieerd op een echte instantie | SaaS | — | apiKey | Clé d'API Atera. ÉCRITURE : la clé Atera n'est pas cloisonnable en lecture seule — elle porte les droits du compte qui l'a créée. LECTURE : la même clé relit le ticket ; aucune portée distincte n'existe, ce qui est précisément pourquoi la phrase précédente est écrite telle quelle. |
| ConnectWise ManageNiet geverifieerd op een echte instantie | SaaS | — | companyId, publicKey, privateKey, clientId | Membre d'API ConnectWise (clés publique + privée). ÉCRITURE : droit de création sur le board de tickets visé. LECTURE : droit de lecture sur ce même board (Service Desk → Service Tickets), pour relire le statut d'un ticket déjà créé. |
| Datto AutotaskNiet geverifieerd op een echte instantie | SaaS | — | apiIntegrationCode, username, secret | Utilisateur d'API Autotask dédié. ÉCRITURE : droit de création de tickets sur la file visée. LECTURE : le niveau de sécurité de l'utilisateur d'API doit accorder la vue des tickets — l'entité Ticket respecte les droits View/Add/Edit du compte connecté. |
| HaloPSAGeverifieerd op een echte instantie | SaaS | — | clientId, clientSecret, authUrl | Application API « Client Credentials » portant exactement trois permissions : « edit:tickets » (ÉCRITURE — création du ticket, POST /Tickets), « read:tickets » (relecture du statut, GET /Tickets/{id}) et « read:customers » (vérification de l'ID client au moment où il est saisi, GET /Client/{id}). Aucune autre, et pas le scope « all ». |
| NinjaOneNiet geverifieerd op een echte instantie | SaaS | — | clientId, clientSecret | Application « Client Credentials », scope monitoring/management. ÉCRITURE : management est requis pour créer un ticket. LECTURE : le même jeton relit le ticket et la liste des statuts ; NinjaOne ne documente pas de portée plus étroite pour /v2/ticketing. |
Dezelfde gegevens, in JSON-formaat: /api/connectors/data-inventory